--- title: "Affiner la protection Anti-DDoS avec le profilage" description: "Appliquez un profil de trafic réseau et un niveau de sensibilité à vos adresses IP pour affiner la protection Anti-DDoS VAC de vos services" url: https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/anti-ddos-vac-profiling lang: fr lastUpdated: 2026-11-02 --- > For AI agents: the complete documentation index is available at https://docs.ovhcloud.com/fr/llms.txt, the full documentation bundle is available at https://docs.ovhcloud.com/fr/llms-full.txt. # Affiner la protection Anti-DDoS avec le profilage **Attention :** La fonctionnalité de profilage est en phase **bêta**. Les fonctionnalités, les noms de profils et les limites peuvent encore légèrement évoluer d'ici la disponibilité générale. ## Objectif La protection Anti-DDoS VAC couvre par défaut tous les services OVHcloud, sans configuration ni surcoût. Le VAC fait partie des principaux éléments de l'[infrastructure Anti-DDoS](https://www.ovhcloud.com/fr/security/anti-ddos/) d'OVHcloud : une combinaison de technologies, développées en continu par OVHcloud, qui filtre le trafic entrant pour que seuls les paquets légitimes atteignent votre serveur. La détection s'appuie sur la forme du trafic : débit de paquets, renouvellement des connexions, hausses soudaines de volume ou signatures de trafic connues. Cette détection générique convient à la plupart des applications protégées, mais elle peut encore mal interpréter certaines charges de travail plus spécifiques, pourtant légitimes : un tunnel WireGuard très sollicité ressemble à un flood UDP, et l'afflux de spectateurs lors d'un événement en direct ressemble à une attaque volumétrique. La fonctionnalité de profilage vous permet de décrire précisément ce type de service, plutôt que de contourner la protection. Choisissez un profil dans le catalogue, sélectionnez un niveau de sensibilité et rattachez vos services. Une seule modification d'une politique réajuste toutes les adresses qui y sont associées. Si votre charge de travail évolue, changez de profil ou ajustez la sensibilité. **Ce guide vous explique comment :** - reconnaître les cas où votre application a besoin d'un profil. - activer le profilage sur votre compte et créer une politique. - appliquer une politique à vos adresses IP et comprendre son statut. - ajuster, désactiver ou supprimer une politique, et en mesurer l'effet. ## Prérequis - Disposer d'au moins un service OVHcloud doté d'une adresse IPv4 publique. - Être connecté à la « console OVHcloud ». ## En pratique **Sommaire :** - [Pourquoi la protection peut avoir besoin d'être affinée](#why) - [Fonctionnement du profilage](#concepts) - [Étape 1 — Activer le profilage](#activate) - [Étape 2 — Créer une politique](#create) - [Étape 3 — Ajouter vos adresses IP](#targets) - [Lire les statuts](#statuses) - [Gérer vos politiques](#manage) - [Mesurer l'effet d'une politique](#monitoring) - [Limites](#limitations) - [Diagnostic](#troubleshooting) ### Pourquoi la protection peut avoir besoin d'être affinée Deux situations principales peuvent vous amener à ajuster les réglages par défaut : | | Ce qui se produit | Ce que vous constatez | | ---------------- | ------------------------------------------------------------------- | --------------------------------------------------------------------------------------------------------------------------- | | **Faux positif** | Du trafic légitime est pris pour une attaque et se retrouve mitigé. | Sessions interrompues, tunnels coupés, utilisateurs déconnectés pendant un pic de trafic, alors qu'aucune attaque n'a lieu. | | **Faux négatif** | Le trafic d'attaque reste sous les seuils génériques de détection. | Service dégradé pendant une attaque qui n'a jamais été complètement mitigée. | Les faux positifs sont les plus fréquents, et quelques usages en concentrent l'essentiel : les tunnels VPN, dont le débit de paquets UDP est élevé ; les nœuds Blockchain/Solana, qui utilisent de larges plages de ports avec un renouvellement constant des pairs ; la diffusion vidéo et la voix, exposées à des montées d'audience brutales mais légitimes ; les services web lors d'un lancement ou d'une opération commerciale. Créez une politique si vous vous trouvez dans l'une de ces situations : - Du trafic légitime est mitigé et vous le contournez déjà, en basculant le VPN en mode TCP, en réduisant la MTU ou en ouvrant un ticket après chaque incident. - Vous préparez un pic de trafic connu, par exemple un événement en direct ou le lancement d'un produit. - Vous exploitez une application au trafic structurellement atypique et préférez le déclarer en amont plutôt que d'attendre le premier faux positif. - Une attaque a bien été mitigée, mais de façon incomplète, et vous souhaitez que la détection réagisse plus tôt. Si aucune de ces situations ne correspond à la vôtre, aucune modification n'est nécessaire : vos services restent protégés par défaut. ### Fonctionnement du profilage Vous créez des **politiques**. Une politique associe un profil de trafic réseau à un niveau de sensibilité, et s'applique aux adresses IPv4 publiques ou aux blocs que vous y ajoutez. #### Les profils de trafic réseau OVHcloud conçoit et maintient les profils de trafic réseau : lors de la création d'une politique, choisissez celui qui correspond le mieux à votre charge de travail. | Profil de trafic réseau | À utiliser pour | | ------------------------- | -------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | VPN - WireGuard | Les serveurs VPN WireGuard. | | VPN - OpenVPN | Les serveurs OpenVPN fonctionnant en UDP, avec TCP en solution de repli. | | Game Server - Generic | Les serveurs de jeu utilisant à la fois TCP et UDP. Plus permissif que les profils de jeu UDP seul et TCP seul, il préserve toutes les fonctionnalités du jeu pendant une attaque, comme les téléchargements en TCP depuis un serveur dont le trafic de jeu passe par ailleurs en UDP. | | Game Server - Generic UDP | Les services de jeu reposant sur UDP. Il convient aussi au trafic TeamSpeak. | | Game Server - Generic TCP | Les protocoles de jeu reposant sur TCP. | | VoIP - TeamSpeak | Les serveurs TeamSpeak. Il protège aussi la plupart des services de jeu reposant sur UDP. | | WebServer - Generic | Les serveurs web recevant uniquement du trafic HTTP et HTTPS sur les ports TCP 80 et 443. | | Generic - Proxied TCP | Les serveurs back-end dont le front-end est hébergé hors d'OVHcloud, par exemple chez un fournisseur de CDN externe. Les hôtes qui ouvrent légitimement de nombreuses connexions vers le back-end risquent beaucoup moins d'être identifiés comme attaquants. | | Blockchain - Solana | Les nœuds Solana, dont le trafic légitime peut être très volumineux. | | DNS - Server | Les serveurs DNS. Ce profil s'appuie sur les schémas de trafic propres au DNS pour bloquer un maximum de trafic d'attaque, avec un impact minimal sur les requêtes légitimes. | | Default | Un profil générique proposant plusieurs niveaux de sensibilité. Utilisez-le lorsqu'aucun autre profil ne correspond à votre charge de travail. | **Attention :** Sur les serveurs Bare Metal Game, nous vous recommandons de ne pas utiliser le profilage, en particulier les profils Game Server (Generic, Generic UDP et Generic TCP), sur les adresses IP protégées par une règle **Minecraft Java** de la [protection Anti-DDoS Game](https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/firewall-game-ddos.md). Cela pourrait affecter la qualité de la protection globale. #### Tirer le meilleur parti d'un profil Pour obtenir les meilleurs résultats avec certains profils : - **VPN - WireGuard :** utilisez le port par défaut de WireGuard, UDP 51820. Vous évitez ainsi de perdre du trafic légitime pendant une attaque. - **VPN - OpenVPN :** utilisez les ports par défaut d'OpenVPN, UDP 1194 et TCP 443. Si vous n'avez pas besoin du repli en TCP, bloquez ce trafic avec l'[Edge Network Firewall](https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/firewall-network.md). - **WebServer - Generic :** ne l'utilisez pas si le serveur reçoit aussi du trafic UDP. QUIC (HTTP/3) n'est pas encore pris en charge : le trafic QUIC est rejeté pendant une attaque. - **Generic - Proxied TCP :** choisissez ce profil plutôt que WebServer - Generic lorsqu'un CDN externe ou un reverse proxy hébergé hors d'OVHcloud se trouve devant un serveur web hébergé chez OVHcloud. Le serveur d'origine reçoit alors de nombreuses connexions depuis un petit nombre d'adresses de périphérie du CDN : ce profil s'attend à ce schéma et n'identifie pas ces adresses comme attaquantes. - **Blockchain - Solana :** pendant une attaque, la mitigation évite d'affecter le trafic Solana légitime. En contrepartie, des attaques très ciblées peuvent laisser passer davantage de trafic malveillant vers le serveur. #### La sensibilité La sensibilité place la politique entre deux risques : mitiger trop, ou pas assez. Les niveaux disponibles dépendent du profil. | Sensibilité | Effet | À choisir lorsque | | ----------- | -------------------------------------------------------------- | --------------------------------------------------------------------------------- | | `Low` | Moins de faux positifs : la plus tolérante aux pics légitimes. | La disponibilité pendant les pics compte davantage que la profondeur du filtrage. | | `Medium` | Détection équilibrée. Le point de départ recommandé. | Vous appliquez un profil pour la première fois. | | `High` | Moins de faux négatifs : le filtrage le plus agressif. | Des attaques passent au travers. | #### Une seule politique par adresse IP Une adresse IP relève d'une seule politique. Si un bloc est associé à une politique et une adresse de ce bloc à une autre, c'est l'entrée la plus spécifique qui l'emporte. Par exemple, si `203.0.113.0/24` est associé à une politique WebServer - Generic et `203.0.113.10` à une politique VPN - WireGuard, alors `203.0.113.10` utilise la politique VPN - WireGuard et le reste du bloc la politique WebServer - Generic. Les réglages d'une politique sont conservés pour une Additional IP lorsqu'elle passe d'un de vos services à un autre. Ils ne sont réinitialisés que si l'adresse change de propriétaire ou si son service est résilié. ### Étape 1 — Activer le profilage L'activation n'est nécessaire qu'une fois par compte. 1. Connectez-vous à la « console OVHcloud ». 2. Pendant la bêta, cliquez sur « Découvrir la console >BETA\_ » en haut à droite. 3. Dans le menu latéral, rendez-vous dans « Sécurité » > « Anti-DDoS », puis ouvrez l'onglet « Profiling ». 4. Cliquez sur « Activate profiling ». Suivez les instructions qui s'affichent, le cas échéant, pour finaliser l'activation. Aucun montant n'est facturé. Une fois l'activation terminée, l'onglet `Profiling ` affiche les politiques que vous avez définies. L'activation ne modifie les réglages de protection d'aucune adresse IP tant que vous ne l'ajoutez pas à une politique. ### Étape 2 — Créer une politique 1. Dans l'onglet « Profiling », cliquez sur « Create a policy ». 2. Dans le champ `Name`, saisissez un nom qui identifie la charge de travail, par exemple `vpn-concentrators`. 3. Dans la liste `Network traffic profile`, sélectionnez le profil correspondant à votre charge de travail. Sa description s'affiche sous la liste. 4. Réglez la `Sensitivity`. Commencez par `Medium`, sauf si vous savez déjà dans quel sens la protection doit évoluer. 5. Cliquez sur « Create policy ». Vous ajoutez les adresses IP une fois la politique créée. D'ici là, son statut est **Not configured** : elle ne s'applique encore à aucune adresse. ### Étape 3 — Ajouter vos adresses IP 1. Dans la liste des politiques, cliquez sur le nom de la politique, ou sur le bouton « ... » en fin de ligne, puis sur « Edit ». 2. Dans la section `Targets` du panneau `Edit policy`, cliquez sur le champ `Add an IP…`. La liste affiche les blocs IP et les adresses IP individuelles disponibles sur votre compte. Saisissez le début d'une adresse pour filtrer la liste. 3. Sélectionnez une adresse, ou un bloc entier. Si vos serveurs occupent un bloc contigu, ajoutez le bloc plutôt que chaque adresse. 4. Après avoir sélectionné un bloc IP, vous pouvez modifier la sélection dans le champ de saisie. Au lieu du bloc entier, vous pouvez ainsi saisir l'un de ses sous-réseaux ou une seule adresse de ce bloc. 5. Répétez l'opération pour chaque adresse ou bloc, puis cliquez sur « Save changes ». Un message de confirmation s'affiche. La protection Anti-DDoS VAC de cette adresse suit alors le profil et la sensibilité de la politique, et non plus les réglages génériques. La modification s'applique en arrière-plan : l'adresse est marquée **Pending** jusqu'à ce que la modification soit appliquée, puis ce badge disparaît. Si une adresse que vous ajoutez porte déjà d'anciens réglages Anti-DDoS qui ne proviennent pas d'une politique, comme des réglages personnalisés appliqués par les équipes du support OVHcloud, une fenêtre `Legacy Anti-DDoS settings detected` s'affiche à l'enregistrement. Pour appliquer tout de même la politique, cochez la case `I understand `, puis cliquez sur `Overwrite and save `. Vous reprenez ainsi la main sur les réglages de protection de l'adresse et pouvez les modifier avec les dernières options de profilage. **Attention :** Le remplacement des anciens réglages est irréversible : ils ne pourront pas être restaurés. Si vous désactivez ensuite la politique, l'adresse revient à la protection Anti-DDoS VAC par défaut, et non à ses réglages précédents. ### Lire les statuts La liste des politiques indique, pour chacune, son profil de trafic réseau, sa sensibilité, son nombre d'adresses IP, la date de la dernière attaque détectée et son statut. Vous pouvez la filtrer par profil, par sensibilité et par statut. | Emplacement | Statut | Signification | | -------------------- | ----------------------------------------------- | ------------------------------------------------------------------------------------------------------------------ | | Liste des politiques | **Active** | Activée, avec au moins une adresse IP. La protection est ajustée. | | Liste des politiques | **Not configured** | Activée, mais sans adresse IP. Ajoutez une cible. | | Liste des politiques | **Disabled** | Désactivée. La protection Anti-DDoS VAC par défaut s'applique à ses adresses, qui restent associées. | | Liste des politiques | Icône d'avertissement à côté de `Number of IPs` | Certaines adresses de la politique sont encore en cours d'application ou de retrait (**Pending** ou **Deleting**). | | Section `Targets` | Aucun badge | L'adresse est protégée par la politique. | | Section `Targets` | **Pending** | L'adresse est en cours de synchronisation avec le système de profilage. Cela peut prendre quelques minutes. | | Section `Targets` | **Deleting** | L'adresse est en cours de retrait de la politique. | ### Gérer vos politiques Chaque politique dispose d'un bouton d'actions (`... `) en fin de ligne dans la liste des politiques, avec les options suivantes : | Action | Procédure | Effet | | ------------------------------------ | ----------------------------------------------------------------------------------------------------------------------------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Modifier le profil ou la sensibilité | « Edit », puis modifiez `Network traffic profile` ou `Sensitivity` et cliquez sur « Save changes ». | S'applique d'un coup à toutes les adresses de la politique. Changez la sensibilité d'un niveau à la fois et observez le résultat avant d'aller plus loin. | | Désactiver la politique | « Disable », puis confirmez. | Les adresses reviennent à la protection Anti-DDoS VAC par défaut. Elles restent associées, et la politique peut être réactivée à tout moment. Utile pour confirmer ou écarter le rôle du profil lors d'un diagnostic, plutôt que de supprimer la politique. | | Réactiver la politique | « Enable » sur une politique désactivée. | Le profil s'applique de nouveau aux adresses associées. | | Déplacer une adresse | « Edit », retirez l'adresse de la section `Targets` d'une politique et enregistrez, puis ajoutez-la à une autre. | Une adresse ne relève que d'une seule politique. | | Supprimer la politique | « Delete », puis confirmez. | Supprime la politique et toutes ses cibles. Ses adresses reviennent à la protection par défaut. Cette action est irréversible. | ### Mesurer l'effet d'une politique Une politique modifie le trafic qui est mitigé : pour la juger, comparez l'activité de mitigation avant et après son application. Dans la console OVHcloud (pendant la bêta, ouvrez-la à l'aide du bouton `Découvrir la console >BETA_ ` en haut à droite), rendez-vous dans `Sécurité ` > `Anti-DDoS `. L'onglet `Dashboard ` liste les attaques détectées sur vos adresses, et, lors des événements de détection, l'onglet `Trafic ` affiche le trafic légitime de l'adresse que vous sélectionnez, ainsi que le trafic filtré lors des attaques mitigées. Une politique efficace filtre moins de trafic pendant les pics légitimes, et pas moins pendant les véritables attaques. Pour en savoir plus sur les attaques détectées sur vos services, consultez le guide « [Suivre les attaques DDoS avec le tableau de bord Anti-DDoS](https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/network-security-dashboard.md)  ». Si un profil ne se comporte pas comme prévu, signalez-le via le lien `Do you like it? ` en haut de la page Profiling. Pendant la bêta, ces retours permettent d'améliorer le catalogue. ### Limites | Limite | Détails | | ---------------------------------------- | ----------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- | | Politiques | 20 par compte. | | Région administrative (début de la bêta) | Une politique ne peut protéger que des adresses IP situées dans la même région administrative que votre service de protection Anti-DDoS VAC : **Europe** ou **Canada & APAC**. L'ajout d'un préfixe appartenant à l'autre région n'est pas encore pris en charge. | | Types de cibles | Adresses IPv4 et blocs IPv4 uniquement. La prise en charge de l'IPv6 sera ajoutée ultérieurement. | | Public Cloud | Les Floating IP, y compris celles utilisées par Managed Kubernetes Service, peuvent être ajoutées une par une. Une politique ne peut pas encore cibler une ressource de projet Public Cloud entière. | ### Diagnostic | Problème | Cause possible | Solution | | --------------------------------------------------------------------------------------------------------------------------------------------------------------- | ---------------------------------------------------------------------------------------------------------------------------------------------------------- | ------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------ | | Du trafic légitime est toujours rejeté | La sensibilité est trop élevée, ou le profil ne correspond pas à la charge de travail. | Abaissez la sensibilité d'un niveau et observez le résultat. Si le problème persiste en `Low`, le profil n'est probablement pas le bon : essayez-en un autre et signalez-le via le lien de retour. | | Une attaque n'a pas été complètement mitigée | La sensibilité est trop basse. | Augmentez la sensibilité d'un niveau, et comparez le trafic filtré avant et après. | | Une adresse reste en **Pending** ou **Deleting** | La modification n'est pas encore appliquée. | Patientez quelques minutes, puis actualisez la page. Si le statut ne change pas, [contactez le support](https://www.ovhcloud.com/fr/support-levels/) en indiquant le nom de la politique et l'adresse. | | L'ajout d'une IP renvoie une erreur telle que `Prefix 192.0.2.0/24 is in region EU. Your VAC service is in region CA and can only protect CA prefixes for now.` | Au début de la bêta, votre service ne peut protéger que des préfixes de sa propre région administrative (Europe ou Canada & APAC). | Ajoutez une adresse IP appartenant à la même région que votre service. Cette limite sera levée au cours de la bêta. | | Du trafic est rejeté alors que l'adresse relève d'une politique adaptée | Une autre couche de protection, comme l'Edge Network Firewall ou un pare-feu applicatif, le filtre peut-être. Une politique ne prévaut sur aucune d'elles. | Vérifiez vos règles [Edge Network Firewall](https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/firewall-network.md) ou le filtrage applicatif propre à votre service. | Si un profil est appliqué et que le problème persiste, une capture de trafic (pcap) des flux concernés aidera le support à l'analyser. ## Aller plus loin [Suivre les attaques DDoS avec le tableau de bord Anti-DDoS](https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/network-security-dashboard.md) [Activer et configurer le Edge Network Firewall](https://docs.ovhcloud.com/fr/guides/bare-metal-cloud/dedicated-servers/firewall-network.md) Échangez avec notre [communauté d'utilisateurs](https://community.ovhcloud.com/).